KI-Tools mit EU-Datenverarbeitung: Worauf kleine Unternehmen achten sollten
EU-Datenverarbeitung ist kein Logo im Preisblatt. Für kleine Unternehmen zählt, ob sie den Datenfluss, die Rollen und den Abschaltweg eines KI-Workflows erklären können.
Ein Anbieter schreibt „EU data processing“ auf seine Webseite, und eine kleine Firma atmet auf: Das klingt nach einer schnellen Datenschutzantwort. Doch sobald ein Workflow eine Rechnung, einen Vertrag oder eine Kundenmail an mehrere Dienste weiterreicht, ist der Standort nur ein Ausschnitt. Die wichtigere Frage lautet: Kann das Unternehmen den Weg dieser Daten erklären und bei Bedarf stoppen?
Das ist keine Rechtsberatung und kein Aufruf, KI-Projekte zu vermeiden. Die EU-Kommission beschreibt Datenschutz als Grundrecht und die DSGVO als den zentralen Rechtsrahmen. Für den Alltag kleiner Teams folgt daraus vor allem eine operative Pflicht: Nicht mit Logos argumentieren, sondern den konkreten Datenfluss kennen.
Zeichne zuerst den Weg, nicht die Tool-Liste
Nimm einen einzigen Workflow: Eine Rechnung kommt im Postfach an, wird ausgelesen, klassifiziert und in eine Buchhaltungs- oder Freigabeliste gelegt. Schreibe jede Station auf: Eingang, Speicherort, OCR oder Modell, Automationsplattform, Zielsystem, Protokoll, Fehlerqueue und Löschung.
Erst dadurch werden die Fragen sichtbar, die eine Produktseite nicht beantwortet:
- Welche personenbezogenen oder vertraulichen Daten sind wirklich enthalten?
- Wer ist für welche Verarbeitung verantwortlich und wer arbeitet im Auftrag?
- Welche Unterauftragnehmer oder Regionen können beteiligt sein?
- Bleiben Inhalte in Protokollen, Backups oder Support-Tickets zurück?
- Wie wird ein falscher oder unerwünschter Lauf gestoppt und bereinigt?
Ein System wie n8n kann Teams mehr technische Kontrolle geben, wenn sie es selbst betreiben können und wollen. Microsoft Power Automate kann sinnvoll sein, wenn Identität, Dateien und Berechtigungen ohnehin in einem Microsoft-Tenant geregelt sind. Dokumentenwerkzeuge wie Rossum, ABBYY Vantage oder Azure AI Document Intelligence lösen jeweils andere Teile des Flows. Keines macht die Datenflusskarte überflüssig.
Die nützlichste Prüfung ist konkret
Statt eine allgemeine „DSGVO-konform?“-Frage an einen Vertrieb zu schicken, stelle für den eigenen Pilot eine kleine, prüfbare Liste zusammen. Welches konkrete Dokument darf hinein? Welche Felder werden benötigt, welche können vorher entfernt werden? Wo liegt der Auftragsverarbeitungsvertrag oder eine vergleichbare Vereinbarung? Welche Einstellungen betreffen Training, Aufbewahrung und Logs? Wer kann Zugänge freigeben oder entziehen?
Diese Fragen sind nicht spektakulär, aber sie machen einen Unterschied zwischen einem Pilot und einem Schattenprozess. Besonders wichtig ist das bei KI-Ausgaben: Ein Ergebnis kann falsch, aber plausibel sein. Datenschutz und Qualitätskontrolle treffen sich deshalb im selben Punkt: Es braucht einen Menschen oder eine Regel, die erkennt, wann ein Dokument nicht automatisch weitergehen darf.
Kein Standort-Siegel ersetzt einen Abschaltweg
Der sinnvollste Test ist ein kontrollierter Rückwärtsgang. Kann das Team den Zugang eines Mitarbeiters entfernen? Kann es einen Flow pausieren? Kann es den Weg eines bestimmten Dokuments nachvollziehen? Weiß es, wo Protokolle und temporäre Dateien liegen? Wenn diese Fragen offen bleiben, ist die Automatisierung nicht zu groß, weil sie KI nutzt, sondern weil sie niemand mehr kontrolliert.
Für kleine Unternehmen ist der nächste Schritt darum nicht ein umfassendes Compliance-Projekt. Es ist ein Pilot mit einer Datenklasse, einer verantwortlichen Person und einem dokumentierten Abschaltweg. Wenn der Weg funktioniert, lässt er sich erweitern. Wenn nicht, hat das Team ein Problem früh und billig entdeckt.